Usando Oauth 2 junto con Slim Framework para crear API segura: Parte2
En el post anterior explicamos como configurar un servidor Oauth 2 para php que nos genere tokens de acceso validos con la intención de securizar nuestra API. En esta segunda parte del post vamos a desarrollar nuestra api apoyándonos en un microframework como Slim Framework y realizando conexiones CURL a nuestro servidor Oauth 2 para que nos valide si los token de accesos que enviamos están autorizados a acceder a la información de la API. Usaremos scopes para controlar los permisos de acceso a todos los métodos de nuestra API, vamos a ello.
/**
* functions.php - Funciones para la conexión CURL que comproborá el token de acceso a la API
* entities.php - Entidades que usaremos al extraer los datos desde la Base de datos
*/
require 'functions.php';
require 'entities.php';
/**
* Autoloading SlimFramewok
*/
require 'vendor/autoload.php';
//
/**
* $pdo - Adaptador para la base de datos usada para almacenar los valores oauth en la BD
* $app - Instanciación de Slim
*/
$pdo = new PDO('mysql:host=localhost;dbname=bdname', 'user', 'password', array(
PDO::MYSQL_ATTR_INIT_COMMAND => "SET NAMES 'utf8'",
));
$app = new \Slim\Slim();
Para conectar a todos los métodos de nuestra api vamos a usar envío POST. A continuación el listado de métodos:
* Listado de usuarios
* url ejemplo: http://miaplicacion/usuarios/
*/
$app->post('/usuarios(/)', function () use ($app, $pdo) {
if ($app->request()->post('access_token')) {
if (curlCheckToken($app->request()->post('access_token') ,'usuarios')) {
$stmt = $pdo->prepare("SELECT * FROM usuarios");
$stmt->execute();
$resultado = $stmt->fetchAll(PDO::FETCH_CLASS, "Usuarios");
if ($resultado) {
echo json_encode($resultado);
}
else {
echo json_encode(array(
'error' => 'No hay registros'
));
}
}
}
});
/**
* Información de un usuario concreto, $id = id del usuario
* Url ejemplo: http://miaplicacion/usuarios/1/
*/
$app->post('/usuarios/:id(/)', function ($id) use ($app, $pdo) {
if ($app->request()->post('access_token')) {
if (curlCheckToken($app->request()->post('access_token') ,'usuario')) {
$stmt = $pdo->prepare("SELECT * FROM usuarios WHERE id = :id");
$stmt->bindParam(':id', $id, PDO::PARAM_INT);
$stmt->execute();
$resultado = $stmt->fetchAll(PDO::FETCH_CLASS, "Usuario");
if ($resultado) {
echo json_encode($resultado);
}
else {
echo json_encode(array(
'error' => 'Usuario no encontrado'
));
}
}
}
});
/**
* Listado de mensajes de un usuario, $id = id del usuario
* Url ejemplo: http://miaplicacion/usuarios/1/mensajes/
*/
$app->post('/usuarios/:id/mensajes(/)', function ($id) use ($app, $pdo) {
if ($app->request()->post('access_token')) {
if (curlCheckToken($app->request()->post('access_token') ,'mensajes')) {
$stmt = $pdo->prepare("SELECT * FROM mensajes WHERE usuario_id = :id");
$stmt->bindParam(':id', $id, PDO::PARAM_INT);
$stmt->execute();
$resultado = $stmt->fetchAll(PDO::FETCH_CLASS, "Mensajes");
if ($resultado) {
echo json_encode($resultado);
}
else {
echo json_encode(array(
'error' => 'No hay mensajes de este usuario'
));
}
}
}
});
/**
* Un mensaje de un usuario en concreto via $id = id del usuario y $mensajes = id del mensaje
* Url ejemplo: http://miaplicacion/usuarios/1/mensajes/3/
*/
$app->post('/usuarios/:id/mensajes/:mensaje(/)', function ($id, $mensaje) use ($app, $pdo) {
if ($app->request()->post('access_token')) {
if (curlCheckToken($app->request()->post('access_token') ,'mensaje')) {
$stmt = $pdo->prepare("SELECT * FROM mensajes WHERE usuario_id = :id AND id = :mensaje");
$stmt->bindParam(':id', $id, PDO::PARAM_INT);
$stmt->bindParam(':mensaje', $mensaje, PDO::PARAM_INT);
$stmt->execute();
$resultado = $stmt->fetchAll(PDO::FETCH_CLASS, "Mensaje");
if ($resultado) {
echo json_encode($resultado);
}
else {
echo json_encode(array(
'error' => 'No existe el mensaje solicitado'
));
}
}
}
});
$app->run();
Funcion curl:
<?php
/**
* Realiza la conexion curl para comprobar si el token es valido en la api para el scope solicitado
* $token - Token a comprobar
* $scope - permisos para el usuario. Cada metodo de nuestra api va a tener su propio scope: en este caso los posibles valores son "usuarios", "usuario", "mensajes", "mensaje"
*/
function curlCheckToken($token_value, $scope = null) {
$ch = curl_init();
//Url al servidor Oauth
curl_setopt($ch, CURLOPT_URL, "http://localhost/oauth-demo/response.php");
curl_setopt($ch, CURLOPT_HEADER, 0);
curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1);
curl_setopt($ch, CURLOPT_POST, 1);
curl_setopt($ch, CURLOPT_POSTFIELDS, 'access_token=' . $token_value . '&scope=' . urlencode($scope));
//Json response
$raw_data = curl_exec($ch);
curl_close($ch);
$data = json_decode($raw_data);
/**
* Procesamos la respuesta de curlhttp://localhost/api-slimframework/listado/
* Si en el array devuelto se encuentra la clave success con valor true es que hemos tenido exito
* Si no, mostramos los errores que nos devuelve la api
*/
if (isset($data->success) AND $data->success == true) {
return true;
}
else {
echo $raw_data;
}
}
Clases usadas para formatear los datos que se extraigan:
<?php
class Usuarios {
public $usuarios ;
function __construct($usuarios = null) {
$this->usuarios = $usuarios;
}
}
class Usuario {
public $id;
public $nombre;
}
class Mensajes {
public $mensajes ;
function __construct($mensajes = null) {
$this->mensajes = $mensajes;
}
}
class Mensaje {
public $id;
public $texto;
}
Comprobación del token:
<?php
/**
* En este fichero se chequea que el token y el scope, y duelve si es valido o no, y en caso de que no el porqué
*/
require 'vendor/autoload.php';
$dsn = 'mysql:host=localhost;dbname=bdname';
$username = "user";
$password = "password";
$storage = new OAuth2\Storage\Pdo(array(
'dsn' => $dsn,
'username' => $username,
'password' => $password
));
$config = array();
$server = new OAuth2\Server($storage, $config);
$request = OAuth2\Request::createFromGlobals();
$response = new OAuth2\Response();
$scope = $_POST['scope'];
//Aquí es donde comprobamos si con los datos envíados tenemos acceso al recurso
if (!$server->verifyResourceRequest($request, $response, $scope)) {
// En caso de error, se mostrará los detalles aquí
$response->send();
die;
}
//Respuesta en caso de éxito
echo json_encode(array('success' => true));
Como se puede ver, cada uno de los métodos básicamente comprueba mediante CURL que el token de acceso tiene permisos para cada scope, si todo va bien conecta a la base de datos y extrae la info requerida, en caso contrario lanzará un error con una descripción de porque ha fallado( Token expirado, Token sin permisos para ese método o no hay datos disponibles según sea el caso).
